Langflow : deux failles critiques permettent d'exécuter du code sans compte

Si vous hébergez Langflow, l'outil open source pour construire des agents et des workflows IA, regardez votre version aujourd'hui. IBM, à qui sont adressés les rapports de vulnérabilité de Langflow, signale deux failles critiques qui permettent à un attaquant distant sans compte de contourner l'authentification ou d'exécuter du code. Toutes les versions de la 1.0.0 à la 1.12.8 sont concernées, et le seul correctif est la 1.13.0.

Les failles

Le bulletin d'IBM, publié le 28 octobre et mis à jour le lendemain, liste quatre failles :

• CVE-2026-93680, CVSS 9.8, sans compte : contournement des restrictions de sécurité par une authentification incorrecte ;
• CVE-2026-110186, CVSS 9.8, sans compte : exécution de code arbitraire par un mauvais contrôle de la génération de code ;
• CVE-2026-110193, CVSS 8.8, avec un compte peu privilégié : l'assistant agentique peut générer ou soumettre du code de composant qui exécute des commandes système sur le serveur ;
• CVE-2026-110192, CVSS 6.5, avec un compte : accès à des informations sensibles à cause d'identifiants mal protégés.

L'une des failles est décrite comme une exécution de code à distance sans authentification, exploitable par l'énumération des outils du protocole MCP (Model Context Protocol), par lequel Langflow expose ses flows comme des outils à des applications d'IA.

Où en est l'exploitation

Aucune de ces failles n'était dans le catalogue CISA des vulnérabilités exploitées (KEV) à sa mise à jour du 30 octobre, même si six autres failles Langflow y figurent. En revanche, un module public du framework Metasploit cite déjà CVE-2026-93680 : il se connecte sans identifiants au point d'accès MCP du serveur, ouvre une session et liste les outils proposés. Il n'exécute ni code ni commande, et son auteur indique des versions touchées plus étroites (1.5.0 à 1.11.4) que celles d'IBM.

Le piège de l'auto-login

Quand l'option LANGFLOW_AUTO_LOGIN est active, Langflow connecte les utilisateurs en super-utilisateur sans demander d'identifiants. Elle est activée par défaut dans la 1.12.8, alors que sa description dans le code avertit qu'elle contourne l'authentification et ne doit servir qu'en développement. Le module Metasploit a été testé avec l'auto-login activé, et l'une des quatre failles est décrite par IBM comme une correction incomplète d'un contrôle d'auto-login. Le bulletin ne dit pas si les serveurs sans auto-login sont vulnérables : ne comptez pas dessus.

Mettre à jour vers la 1.13.0

La 1.13.0 est sortie le 22 octobre. La 1.12.8, publiée le même jour, a toujours les failles, et PyPI ne liste aucune autre 1.12 au 2 novembre. IBM ne propose pas de contournement. La 1.13 désactive l'auto-login par défaut. La procédure :

1. Sauvegardez la base de données, la clé secrète et les fichiers envoyés.
2. Si votre serveur utilise l'auto-login, préparez le compte existant pour la connexion par mot de passe, comme le décrit la documentation de mise à jour de Langflow.
3. Mettez à jour le paquet Python : pip install --upgrade "langflow==1.13.0". Avec Docker, passez à l'image langflowai/langflow:1.13.0 en conservant les données persistantes.
4. Si vous ne pouvez plus vous connecter après la mise à jour, suivez les étapes de récupération liées dans le même guide. Ne supprimez pas et ne réinstallez pas Langflow pour retrouver l'accès : sa documentation prévient que vous pourriez perdre définitivement vos flows.

Le 29 octobre, IBM a aussi publié 29 autres fiches de failles Langflow corrigées dans les versions 1.12.4 et 1.12.5. L'une d'elles, CVE-2026-104339, pourrait aussi permettre l'exécution de code sans compte (9.8). Aucune des 33 fiches ne liste la 1.13.0 comme touchée.

Que faire maintenant ?

• Vérifiez la version de Langflow sur tous vos environnements, y compris les tests et les démos oubliées.
• Ne laissez pas Langflow directement exposé sur internet : mettez-le derrière un VPN ou un reverse proxy avec authentification.
• Désactivez l'auto-login partout hors poste de développement local.
• Si le serveur était exposé avant la mise à jour, changez les clés d'API et secrets qu'il contient (clés de modèles, accès aux bases, jetons).

Source : The Hacker News